Към съдържанието
Търсене

CVE-2026-40114: MervinPraison PraisonAI, SSRF

7.2

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

PraisonAI is a multi-agent teams system. Prior to 4.5.128, the /api/v1/runs endpoint accepts an arbitrary webhook_url in the request body with no URL validation. When a submitted job completes (success or failure), the server makes an HTTP POST request to this URL using httpx.AsyncClient. An unauthenticated attacker can use this to make the server send POST requests to arbitrary internal or external destinations, enabling SSRF against cloud metadata services, internal APIs, and other network-adjacent services. This vulnerability is fixed in 4.5.128.

Засегнати продукти

  • MervinPraison PraisonAI: < 4.5.128

Вид слабост

История

  • 9 април 2026 Публикувано

Други уязвимости в MervinPraison PraisonAI

Първоизточници

CVE-2026-40114: MervinPraison PraisonAI, SSRF | freedomonline.bg